Sous Windows, toute tâche planifiée est authentifiée auprès du système au moment de son exécution. Cet article explique comment Windows gère les credentials associés aux tâches et présente un nouvel outil, alternative à TaskPwDmp, capable de les récupérer de façon fiable sous Windows XP et 2003.
1. Introduction
L'année dernière, Ivanlef0u a présenté sur son blog une suite d'articles originaux [1] [2] expliquant le fonctionnement du mécanisme des tâches planifiées et comment l'exploiter pour obtenir de nouveaux credentials. L'outil TaskPwdDmp a été publié à cette même époque pour accompagner ses billets. Malheureusement, pour différentes raisons que nous expliquerons par la suite, il impose quelques lourdes contraintes aux pentesters en conditions réelles. Nous avons donc étudié plus en profondeur les mécanismes utilisés par Windows pour nous en affranchir. Cet article expose les résultats de nos recherches.
Après avoir rappelé brièvement le fonctionnement du gestionnaire des tâches (Task Manager) de Windows, nous expliquerons l'attaque proposée par Ivanlef0u dans ses articles et implémentée successivement dans TaskPwDmp et TaskPwDmp-ng. Nous analyserons ensuite quelques fonctions internes du task manager et présenterons alors une toute...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première